La protección de datos de carácter personal en la I+d+i
Anuncio
La protección de datos de carácter personal en la I+d+i Dijous de l’OSRT UOC Barcelona, 18 de setiembre del 2014 Malcolm Bain Id law partners/BGMA [email protected] Casos Prácticos • • • • • • • • • • • • • • • • Investigador lleva su portátil a casa Blog sobre el proyecto de I+D, con comentarios con nombre e email Invitaciones a Spin UOC y otros eventos para difusión de resultados Filmación o fotografías de conferencias o seminarios, publicados en Facebook or LinkedIn Lista de suscripción a un boletín de información on contacto al proyecto de I+D Dejamos encendido el ordenador “overnight”, total, estaré de vuelta aquí a las 8 de la mañana Compartir o sincronizar contactos (de correo electrónico, teléfono móvil) con gmail, etc. Contratar servidores en Amazon para alojar Usar google docs para informes y Excels de datos de personas implicadas en un proyecto, entrevistados, etc. Acceso a “drives” compartidos donde los proyectos almacenan datos de la investigación Enviar direcciones o “deliverables” por correo electrónico a socios del proyecto.. Dentro o fuera de la UE Contraseñas Reciclaje de papel Política de uso de equipos Copias de seguridad Conservación de datos brutos de la investigación … ad infinitem? Índice • • • • • Principios Definiciones Obligaciones y derechos Agencia de protección de datos Responsabilidad y Sanciones “La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos en el pleno Ejercicio de sus derechos” Constitución Española: Cap.II Art. 18.4- De los derechos fundamentales y de las libertades públicas Conceptos • Datos personales: Cualquier información concerniente a personas físicas identificadas o identificables. – Básicos / especialmente protegidos (ideología, religión y creencias, origen racial, salud, etc.). • Ficheros: todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso. – ficheros automatizados / no automatizados – Ficheros de titularidad pública / privada • Tratamiento: Cualquier tipo de operaciones y procedimientos técnicos, de carácter automatizado o no, – que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, + – las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias …. Personas Responsable de fichero: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que decida sobre la finalidad, contenido y uso del tratamiento (qué, quién, cómo, cuándo y dónde). Encargados de tratamiento: La persona que, sola o conjuntamente con otros, trate datos por cuenta del responsable del tratamiento Interesado: La persona física titular de los datos que son objeto de tratamiento. Las personas jurídicas están excluidas de protección Reglas generales • • • • • • Calidad de los datos y la finalidad del tratamiento: – adecuados, pertinentes y no excesivos, en relación con el ámbito y las finalidades Necesidad – De recabar / finalidad Información en la recogida de los datos: – Información previa de manera expresa, precisa e inequívoca • Datos recogidos, finalidad tratamiento, destinatarios Consentimiento del interesado: – inequívoco, expreso o tácito • dependiendo del nivel de datos Seguridad y Confidencialidad: – Obligación de secreto • medidas de seguridad Comunicación y acceso a los datos: – Prohibición de cualquier comunicación o cesión sin autorización previa del interesado – Reglas especiales para transferencias internacionales Obligaciones del Responsable • • • • • Notificación de fichero a la AEPD (Art. 26) Proporcionar información Obtener consentimiento Mantener confidencialidad Aplicar mesures de seguridad – Básico: totes – Medio: “sensibles”: infracciones, solvencia, … – Alto: muy sensibles: ideología, religión, vida sexual, racial • Implementar procedimientos para a ARCO Obligaciones del Responsable Garantizar: Inscripción de los ficheros en APD Información al interesado, en la recogida de datos o o o o o Información previa, expresa precisa de la recogida de datos Finalidad y destinatarios de la información Consecuencia de la obtención de los mismos o de la negativa Identidad del responsable del fichero Derechos de acceso, rectificación, cancelación y oposición Calidad de los datos o El tratamiento no puede ser arbitrario o Adecuados, pertinentes y no excesivos o En relación con la finalidad legitima para la que se obtengan o Cancelados cuando ya no sean necesarios o Nunca deberán ser recogidos por medios fraudulentos o ilícitos Obligaciones del Responsable Garantizar: Consentimiento del afectado • Consentimiento de la persona de la que se recaban los datos • Consentimiento específico para el tratamiento de datos e informado del mismo • Excepciones: No será necesario consentimiento: o Administración pública en el ejercicio de sus funciones o Entre las partes de un contrato comercial, laboral o administrativo o Para proteger un interés vital del interesado o Cuando los datos se encuentren en fuentes accesibles al público y haya un interés legítimo del responsable del fichero Obligaciones del Responsable Garantizar: Seguridad de los datos •Tratamiento que garantice la seguridad de los datos •Evitar su alteración, perdida, tratamiento o acceso no autorizado •Documento de Seguridad Deber de secreto o Secreto profesional respecto a los datos incluidos en el fichero o Prohibición de revelar a terceras personas dichos datos También aplicables al “Encargado de Tratamiento Obligaciones del Responsable Gestionar las incidencias del sistema o Analizar las incidencias o Tomar las medidas oportunas Controles periódicos de verificación del cumplimiento (Al menos anual) oListas de usuarios actualizando altas y bajas en el documento o Comprobación de copias de seguridad o Registros de entradas y salidas o Estructura de datos de los ficheros o Plataformas hardware y software o Incidencias en los datos y en el sistema o Auditoría bienal Velar por la política de seguridad en colaboración con el responsable de seguridad Tratamiento de datos por terceros • Contrato de tratamiento (Art. 12 LOPD) – El fin de la utilización de los datos – Las instrucciones del responsable del fichero – La prohibición de comunicación a otras personas – Las medidas de seguridad a implementar – Destrucción o devolución de los datos al finalizar tratamiento • Desarrollar la actividad en nombre y por cuenta del Responsable • Mantener confidencialidad – Aplicar medidas de seguridad = Responsable • Devolver o eliminar los datos al final del tratamiento Cesiones y transferencias • Cesión de datos: cualquier comunicación de datos a una persona diferente del interesado – para el cumplimiento de finalidades directamente relacionadas con las funciones legítimas del cedente y del cesionario – Con consentimiento • finalidad, identidad, datos cedidos • revocable • Transferencias internacionales: – Autorización AEPD – Casos sin autorización: • EEA/ países aprobados (Safe Harbor, Argentina, etc.) • Contrato lo requiere • Con consentimiento del interesado • … Obligaciones Usuarios con Acceso a Datos • Deber de secreto sobre los datos de carácter personal • Cumplimiento de la política de seguridad – Notificación de incidencias • Cumplimiento de las medidas de seguridad – Contraseñas, equipos portátiles/móviles • Respetar el uso, finalidad y contenido del fichero • Garantizar el acceso a los derechos de los ficheros • Gestión de los soportes con datos de carácter personal – Envíos y recepción electrónicas – Dispositivos físicas/móviles / USB etc – Eliminación de datos Los datos / nivel de seguridad • NIVEL BÁSICO – Nombre, Apellidos, DNI – Direcciones de contacto (tanto físicas como electrónicas) – Teléfono (tanto fijo como móvil) – Otros • NIVEL MEDIO – “Públicos” • Comisión de infracciones penales o administrativas (ficheros de las Administraciones públicas) • Tributarios: en manos de Administraciones tributarias - ejercicio de sus potestades tributarias. • Seguridad social (Entidades Gestoras y Servicios Comunes) • Mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social – Financieros: • finalidades relacionadas con la prestación de servicios financieros (entidades financieras). • Solvencia patrimonial / crédito: prestación de servicios de información – Definición de las características o de la personalidad • NIVEL ALTO TIPO DE DATOS – Ideología - Religión - Creencias – Origen racial – Salud - Vida sexual – Afiliación Sindical DOCUMENTO DE SEGURIDAD PERSONAL IDENTIFICACIÓN Y AUTENTICACIÓN CONTROL Y REGISTRO DE ACCESOS GESTIÓN Y DISTRIBUCIÖN DE SOPORTES Y DOCUMENTOS COPIAS DE RESPALDO Y RECUPERACIÓN REGISTRO DE INCIDENCIAS TELECOMUNICACIONES - Implanta la normativa de seguridad concretando el ámbito de aplicación del mismo, las medidas, normas, procedimientos y estándares de seguridad, las funciones y obligaciones del personal, la descripción de los ficheros y de los SSII y los procedimientos de gestión de incidencias, soportes y documentos y copias de seguridad - Establece las medidas a adoptar en caso de transporte, reutilización o desecho de soportes y documentos - Identifica al encargado del tratamiento y los ficheros afectados y esto se expresa en el DS y en el contrato - Se debe mantener actualizado tanto en lo relativo a la organización como a la legislación vigente - El Documento de Seguridad especifica las funciones y obligaciones de un modo claro y documentado - Se difunden entre el personal las normas que les afecten y las consecuencias por incumplimiento - Existen medidas para la identificación y autenticación de los usuarios - Se identifica unívoca y personalmente a cada usuario - Existe un procedimiento de gestión almacenamiento y distribución de contraseñas - Existe un procedimiento para controlar la caducidad de contraseñas y el almacenamiento ininteligible de las mismas - Cada usuario accede únicamente a los datos y recursos necesarios para el desarrollo de sus funciones - Existe una relación actualizada de usuarios, perfiles y accesos autorizados - Existen mecanismos para controlar los derechos con que se accede a los recursos - Existen mecanismos que gestionen la concesión de permisos de acceso sólo por personal autorizado en el Documento de Seguridad - Se identifica el tipo de información que contienen. - Se mantiene un inventario - Se almacenan con acceso restringido - El responsable del fichero autoriza la salida de soportes - Se adoptan medidas en caso de desecho de soportes - Debe existir un procedimiento de copias de respaldo y recuperación de datos - El procedimiento garantiza la reconstrucción de los datos en el estado en que se encontraban en el momento de producirse la pérdida o destrucción - Se realiza una copia de respaldo, al menos semanal - Verificación semestral de los procedimientos de copia por parte del responsable del fichero - Se trabaja sólo con datos reales si se asegura el nivel de seguridad correspondiente al tipo de fichero tratado y se ha hecho una copia. - Se debe registrar tipo de incidencia, momento en que se ha producido, persona que la notifica, persona a la que se comunica y efectos derivados - Las medidas de seguridad exigibles a los accesos a través de redes de comunicaciones deben garantizar un nivel de seguridad equivalente a los accesos en modo local DOCUMENTO DE SEGURIDAD RESPONSABLE DE SEGURIDAD AUDITORIA - Identifica al o los responsables de seguridad - Establece los controles periódicos de cumplimiento del documento - Es el encargado de coordinar y controlar las medidas de seguridad del documento - Esto no supone exoneración de la responsabilidad del responsable del fichero - Una interna o externa al menos cada 2 años o cuando se realicen cambios sustanciales en los SSII - Da lugar a un informe de auditoría sobre la adecuación a las medidas, las deficiencias identificadas y propone medidas correctoras - Es analizado por el responsable de seguridad - Queda a disposición de la AVPD PERSONAL IDENTIFICACIÓN Y AUTENTICACIÓN - Se establece un mecanismo que limite el número de intentos reiterados de acceso no autorizado CONTROL Y REGISTRO DE ACCESOS - Se realiza un control de acceso físico a los locales donde se encuentren ubicados los sistemas de información GESTIÓN Y DISTRIBUCIÖN DE SOPORTES Y DOCUMENTOS - Existe un registro de entrada y salida de soportes que permite conocer el tipo de soporte o documento, la fecha y hora, el emisor o receptor, el tipo de información, la forma de envío y la persona responsable COPIAS DE RESPALDO Y RECUPERACIÓN REGISTRO DE INCIDENCIAS TELECOMUNICACIONES - Se debe registrar la realización de procedimientos de recuperación de los datos, persona que los ejecuta, datos restaurados y grabados manualmente - El responsable del fichero autoriza la ejecución de los procedimientos de recuperación de datos - La transmisión de datos a través de redes públicas o de redes inalámbricas debe CONTROL Y REGISTRO DE ACCESOS GESTIÓN Y DISTRIBUCIÖN DE SOPORTES Y DOCUMENTOS COPIAS DE RESPALDO Y RECUPERACIÓN - Se registran los datos de cada intento de acceso. - Los datos se conservan 2 años - Está bajo control del responsable de seguridad - El responsable de seguridad realiza un informe mensual - Existe una excepción: persona física y acceso unipersonal. - Existe un sistema de etiquetado solo comprensible para los usuarios autorizados - Se cifran los datos en la distribución de soportes y en los dispositivos portátiles - Debe existir una copia de respaldo y de los procedimientos de recuperación en lugar diferente del que se encuentren los equipos Derechos del Interesado • • • • • Información Consentimiento ARCO: Acceso, Rectificación, Cancelación, Oposición Consulta del registre de la AEPD Indemnización Agencia de Protección de Datos + Responsabilidad del cumplimiento de la ley o Responsable del fichero o Encargado del tratamiento Responsabilidad y sanciones • Infracción : LEVE • Sanción: 900 € a 40.000 € • Prescripción 1 año Motivos: • No atender a la solicitud de rectificación o cancelación • No proporcionar a la APD información en relación con aspectos no sustantivos de la protección de datos • No solicitar la inscripción del fichero de datos de carácter personal en el registro • Proceder a la recogida de datos sin informar de ello • Incumplir el deber de secreto, salvo que constituya infracción grave Responsabilidad y sanciones • Infracciones GRAVES • Sanción: 40.001 € a 300.000 € • Prescripción : 2 años •Motivos: • Creación de ficheros o recogida de datos con finalidades distintas a las constituidas • Recogida de datos sin recabar el consentimiento expreso • Tratar datos o usarlos vulnerando la ley, cuando no constituya infracción muy grave • Impedir el ejercicio de los derechos de acceso y rectificación • Mantener datos inexactos o no efectuar las rectificaciones o cancelaciones • La vulneración del deber de guardar secreto sobre los datos clasificados de nivel medio • Mantener los ficheros, locales, programas o equipos que contengan datos sin medidas de seguridad. • No remitir a la agencia de protección de datos las notificaciones requeridas • La obstrucción al ejercicio de la función inspectora • No inscribir el fichero cuando haya sido requerido por el director de AEPD • Responsabilidad y sanciones • Infracción : MUY GRAVE • Sanción: 300.001 € a 600.000 € • Prescripción: 3 años • Motivos: • Recogida fraudulenta y engañosa de datos • Comunicación o cesión de datos fuera de los casos en que están permitidos • Recabar y tratar datos de nivel alto sin consentimiento del afectado • No cesar en el uso ilegitimo de datos cuando sea requerido por la APD • La transferencia temporal o definitiva a países con nivel de protección insuficiente • Tratar los datos personales de forma que atente con el ejercicio de los derechos fundamentales • Vulneración del deber de secreto sobre datos de carácter personal, nivel alto • No atender u obstaculizar el ejercicio de los derechos de acceso, rectificación, cancelación u oposición. • No atender de forma sistemática el deber de notificación de un fichero Valoración de las sanciones • La cuantía de las sanciones se graduará atendiendo – a la naturaleza de los derechos personales afectados – al volumen de los tratamiento afectados – a los beneficios obtenidos – al grado de la intencionalidad – a la reincidencia – a los daños y perjuicios a las personas interesadas y a terceras personas Temas Candentes Privacy • • • • • • • • • • • • Redes Sociales La Nube MegaUpload Seguridad Vigilancia / Rastreo Data mining / profiling Transferencias internacionales “Contra-terrorismo” GPS / geolocalización Google street view Derecho del “olvido” Notificación de fallos / data breaches Cumplimiento en la I+D+i • • • • RECOGIDA de datos – Información – Consentimiento – Notificación fichero TRATAMIENTO de datos – Confidencialidad • Acuerdos confidencialidad – Seguridad • Medidas aplicables • Ficheros y soportes – Terceros encargados de tratamiento • Hosting – Atención a los derechos ARCO TRATAMIENTOS PARTICULARES – Cesiones / comunicación de datos • Proyectos en colaboración • consentimiento – Transferencias internacionales • Dentro de la UE/autorización/excpeción • Indicado en la notificación FINALIZACIÓN: – Destrucción o conservación? • Formulario “LOPD” para cada proyecto? • Gestión expresa (reuniones, informes, seguridad, comunicaciones, finalización) • Documentación LOPD •Política interna •Información/consentimie nto •Avisos legales •Contratos terceros • Procesos formales •Notificaciones AEPD •ARCO •Incidencias FIN !!!!
